Ransomware ngày càng manh động: Đe dọa cả tính mạng và gia đình nạn nhân

Khảo sát toàn cầu mới đây cho thấy 37% các vụ tấn công ransomware đi kèm đe dọa tâm lý hoặc thể xác nhằm ép nạn nhân trả tiền chuộc. Tội phạm mạng đang chuyển từ tấn công kỹ thuật thuần túy sang khủng bố tinh thần, thậm chí dùng bạo lực ngoài đời thực để gây sức ép lên doanh nghiệp và nhân viên của họ.

Khi mã độc vượt ra khỏi màn hình

Tim Beasley, chuyên gia tư vấn ứng phó sự cố cấp cao tại Semperis, từng điều tra một vụ tấn công có liên quan đến nhóm tin tặc Midnight Blizzard của Nga. Trong lúc ông đang làm việc, một gói bưu phẩm chứa búp bê lồng nhau và vài món quà đặc trưng của khu vực Đông Âu bất ngờ xuất hiện trước cửa nhà ông. Gói hàng không kèm theo bất kỳ lời nhắn nào.

"Chỉ là vài món quà lưu niệm và đồ trong giỏ quà từ vùng đó thôi. Kiểu như 'chúng tôi biết các người đang ở đâu'. Thật sự rất đáng sợ khi nhận được thứ như vậy."

Theo Beasley, việc các cuộc xâm nhập kỹ thuật số gây ra hậu quả ngoài đời thực không còn là chuyện mới. Nhưng những năm gần đây, tội phạm mạng đã chuyển hẳn sang gây tổn hại thực tế cùng chấn thương tinh thần và thể xác để buộc nạn nhân phải trả tiền. Một số nhóm thậm chí còn dùng tội phạm mạng như bàn đạp dẫn tới bạo lực ngoài đời thực.

Mối đe dọa nhắm vào gia đình và con cái nạn nhân

Beasley kể lại những vụ tấn công mà các lãnh đạo cấp cao nhận được hình ảnh trường học của con họ do chính tin tặc gửi tới, nhằm gây áp lực tâm lý buộc họ trả tiền chuộc. Ông cũng từng chứng kiến các mối đe dọa liên quan đến gia đình nạn nhân, được dựng lên từ việc thu thập thông tin trên mạng xã hội.

Đây không còn là hiện tượng cá biệt. Theo báo cáo rủi ro ransomware hằng năm của Semperis — khảo sát toàn cầu trên 1.200 tổ chức từng bị tấn công trong nửa đầu năm — có tới 37% vụ việc đi kèm đe dọa tâm lý hoặc thể xác nhắm vào nhân viên. Trong đó, 23% là đe dọa tâm lý và 17% là đe dọa thể xác. Đối tượng bị nhắm tới không chỉ là lãnh đạo và nhân viên, mà còn cả gia đình của họ.

Một số con số đáng chú ý khác từ khảo sát:

• 25% nạn nhân bị doxxing — tức thông tin cá nhân như tên, địa chỉ nhà, địa chỉ cơ quan và số điện thoại bị đăng công khai trên mạng
• 25% phải tìm đến hỗ trợ tâm lý hoặc điều trị y tế
• 24% phải thuê đội bảo vệ cá nhân
• 23% từng bị swatting — tin tặc gọi đến lực lượng khẩn cấp để báo động giả như có bom hoặc kẻ xả súng, khiến cảnh sát vũ trang ập đến nhà nạn nhân

Đáng lo ngại hơn, hơn một nửa số tổ chức được khảo sát (53%) cho biết tin tặc đã thực sự thực hiện các lời đe dọa trong năm qua. Các hình thức đe dọa mà nhân viên của nạn nhân ghi nhận bao gồm:

• Tin nhắn, thư từ hoặc bưu phẩm đe dọa: 57%
• Đe dọa nhắm vào gia đình hoặc bạn bè: 37%
• Xâm nhập trái phép vào nơi ở: 19%
• Đe dọa bắt cóc: 17%
• Đe dọa gây thương tích: 13%
• Theo dõi, rình rập: 6%

Bạo lực như một dịch vụ

Theo Europol và các đối tác, trong mùa hè vừa qua, các nhà điều tra đã đánh dấu 4.340 đường dẫn "kinh khủng" cần gỡ bỏ trong chiến dịch truy quét The Com — một mạng lưới lỏng lẻo các nhóm trực tuyến với thành viên trẻ tuổi tham gia vào nhiều hoạt động bất hợp pháp như hack, swatting, tống tiền kỹ thuật số, xả súng ngoài đời thực và các hành vi bạo lực khác.

"Chúng tôi đã chứng kiến mô hình 'bạo lực như một dịch vụ' được sử dụng," Beasley nói.

Ông cho biết những nhóm tên tuổi thường dùng biện pháp đe dọa tâm lý và thể xác gồm Scattered Spider, ShinyHunters và Lapsus$. Riêng ShinyHunters, trong một cuộc phỏng vấn độc quyền, khẳng định họ "không tấn công con người". Tuy nhiên nhóm này thừa nhận "đôi khi trong công việc, chúng tôi phải đẩy doanh nghiệp đến giới hạn tuyệt đối để họ ngồi vào bàn đàm phán".

Lời khuyên cho doanh nghiệp: Đừng khuất phục, đừng trả tiền

Bài học mà Beasley rút ra cho các chuyên gia phòng thủ và lãnh đạo doanh nghiệp là "giữ vững lập trường".

"Đừng khuất phục trước áp lực, và hãy biết rằng mọi chuyện rồi sẽ ổn. Nếu cảm thấy bị đe dọa, hãy liên hệ ngay với cơ quan thực thi pháp luật. Đừng ngại gọi cảnh sát. Đừng ngại nhờ đến FBI, càng sớm càng tốt. Và đừng trả tiền cho chúng."

Lời khuyên cuối này đặc biệt quan trọng bởi một khi đã trả tiền, tin tặc sẽ quay lại đòi thêm. Báo cáo của Semperis cho thấy 69% nạn nhân từng bị tấn công nhiều lần trong vòng 12 tháng, và 31% đã trả tiền nhiều đợt cho tin tặc.

Điều này có ý nghĩa gì với doanh nghiệp Việt Nam?

Với các doanh nghiệp Việt Nam — đặc biệt là những đơn vị vừa và nhỏ thường chưa trang bị đầy đủ năng lực ứng phó sự cố — xu hướng này là lời cảnh báo đáng cân nhắc. Nhiều tổ chức trong nước vẫn xem ransomware thuần túy là vấn đề kỹ thuật, chưa ý thức được rằng hậu quả có thể vươn tới đời sống cá nhân của lãnh đạo và nhân viên.

Một số biện pháp được khuyến nghị:

• Xây dựng kế hoạch ứng phó sự cố có tính đến các kịch bản đe dọa con người, không chỉ khôi phục hệ thống
• Kiểm soát thông tin cá nhân của lãnh đạo và nhân viên chủ chốt trên mạng xã hội để giảm nguy cơ bị doxxing hoặc tấn công vật lý
• Sao lưu dữ liệu ngoại tuyến và diễn tập khôi phục định kỳ để không bị đặt vào thế phải trả tiền chuộc
• Phối hợp sớm với cơ quan chức năng thay vì tự xử lý trong im lặng vì lo ngại danh tiếng
• Không trả tiền chuộc — bởi đây gần như không bao giờ là dấu chấm hết cho một cuộc tấn công

Ransomware đã không còn là cuộc chiến trên máy chủ. Nó đã bước ra ngoài cửa nhà bạn — đúng nghĩa đen.